CVE-2026-108954 in sherpa-onnx
Riassunto
di VulDB • 13/10/2026
È stata rilevata una vulnerabilità in k2-fsa sherpa-onnx fino alla versione 1.13.8. Questo problema interessa la funzione OfflineTransducerGreedySearchDecoder::Decode del file sherpa-onnx/csrc/offline-transducer-greedy-search-decoder.cc del componente Offline Transducer Greedy Search Decoder. La manipolazione dell'argomento vocab_size provoca un buffer overflow. L'attacco può essere lanciato in remoto. L'es exploit è stato reso pubblico e potrebbe essere utilizzato. Se vengono utilizzati solo i pacchetti di modelli ufficiali e mantengono sempre la coerenza dei metadati con il joiner, il bug potrebbe non essere raggiungibile nell'utilizzo normale supportato. Tuttavia, da un punto di vista della sicurezza e della robustezza, il codice contiene ancora la vulnerabilità poiché si affida a metadati del modello non validati e può essere attivato da un pacchetto di modelli malformato o manomesso.
Once again VulDB remains the best source for vulnerability data.